GitHub security extension が GitHub Copilot app で public preview になった。github-security プラグインに含まれ、リポジトリ用セッションから Security canvas を開く。code scanning が有効で alert を閲覧できるリポジトリでは、open alert を severity 順に一覧し、検索とフィルタで絞り込める。github.com 上の alert ページへは必要に応じて遷移できる。
Explain と Fix は選択した code scanning alert に対し、セッション内の Copilot エージェントに説明または修正を依頼する。Fix はローカルの作業コピーのみを変更し、commit や push は行わない。alert に紐づく pull request を確認でき、対応不要な alert は dismiss できる。組織が delegated alert dismissal を使う場合、dismiss は承認待ちになる。
/security-review は現在の変更に対する所見を既存 alert の横に表示する。前回の review 以降にコードが変わったとき、再実行のタイミングを canvas 側が示す。チャットでも alert について質問でき、security extension のツールは他ツールと同様に tool permission 設定に従う。
Explain、Fix、/security-review は app で選んだモデルを使い、通常のプロンプトと同様に AI クレジットを消費する。alert の閲覧と dismiss は AI を使わない。
利用条件:
- 任意の Copilot プランでプラグインを有効化し、ローカル変更への
/security-reviewが使える。Copilot Business / Enterprise では管理者が GitHub Copilot app ポリシーを有効にし、enterprise managed settings で開発者が入れられるプラグインを制御できる - 既存の code scanning alert を canvas で見る・直す・dismiss するには、対象リポジトリで code scanning が有効で alert 閲覧権限が必要。private リポジトリは GitHub Code Security が必要。ローカル security review だけなら code scanning や Code Security ライセンスは不要
- 対象は GitHub.com と data residency 付き GitHub Enterprise Cloud。GitHub Enterprise Server は非対応
- public preview のため仕様変更の余地あり
有効化は Copilot CLI で copilot plugin install github-security@awesome-copilot、または app の Customize から github-security を検索して Install。インストール後はプラグインと extension が自動で有効になり、リポジトリセッションから Security canvas を開ける。